GitHub Enterprise Server: обязательная ротация подписного ключа после инцидента

Что произошло?

В начале мая 2026 г. GitHub объявил о расследовании неавторизованного доступа к своим внутренним репозиториям. По результатам анализа было установлено, что злоумышленники получили возможность использовать подписные ключи GitHub Enterprise Server (GES) для подписи образов и пакетов. Это могло позволить им подменять артефакты и нарушать целостность поставок программного обеспечения.

Какие действия требуются?

GitHub выпустил Investigation update: GitHub Enterprise Server signing key rotation и настоятельно просит всех клиентов GES сразу выполнить ротацию подписного ключа. Процедура включает:

1. Генерацию нового RSA‑ключа (4096 бит) через ghe-key rotate.
2. Обновление всех CI/CD пайплайнов, которые используют старый ключ.
3. Переподписание всех текущих образов и пакетов новым ключом.
4. Проверку подписи через ghe-signature verify.

GitHub предоставляет пошаговое руководство и скрипты автоматизации в репозитории github/enterprise-server-security. Ожидается, что полное обновление займет от 30 минут до 2 часов в зависимости от масштаба инфраструктуры.

Почему это важно?

Подписные ключи являются краеугольным камнем доверия к поставляемым артефактам. Их компрометация может привести к распространению вредоносного кода, утечке конфиденциальных данных и репутационным потерям. GitHub уже начал процесс отзыва уязвимых ключей и мониторит дальнейшие попытки эксплуатации.

Что дальше?

GitHub обещает усилить мониторинг и внедрить дополнительные слои защиты, включая hardware security modules (HSM) и более строгие политики доступа. Пользователи могут подписаться на обновления через GitHub Security Blog.

---

Источник: GitHub Blog – Investigation update: GitHub Enterprise Server signing key rotation